Foro de Seguridad y Protección de Datos

SEGURIDAD Y PROTECCIÓN DE DATOS

Coordina: Juan Díaz

Equívocos en la identificación y autenticación biométrica

La Agencia Española de Protección de Datos (AEPD) ha publicado una una nota técnica que incluye catorce equívocos relacionados con el uso de la biometría y cómo afectan a la protección de datos. El documento, dirigido a responsables, encargados y Delegados de Protección de Datos, entre otros, tiene como objetivo ofrecer información acerca de las confusiones e imprecisiones más comunes que suelen asociarse al empleo de esta tecnología, de forma que estos colectivos puedan comprender las implicaciones de un tipo de tratamiento tan complejo.

La nota técnica ha sido desarrollada junto al Supervisor Europeo de Protección de Datos (EDPS, por sus siglas en inglés) en el marco de la colaboración que mantiene la AEPD en el ámbito tecnológico con diversas instituciones nacionales e internacionales. La colaboración con el EDPS se materializó por primera vez en el desarrollo de la nota técnica Introducción al hash como técnica de seudonimización de datos personales. El Reglamento General de Protección de Datos (RGPD) define en su artículo 4 los datos biométricos como aquellos “datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos”. Asimismo, cuando los datos biométricos se usan como medio de identificación, el RGPD establece en su artículo 9 que se trata de categorías especiales de datos y prohíbe expresamente su tratamiento dirigido a identificar de manera unívoca a una persona física. La identificación es el proceso de reconocer a un individuo particular entre un grupo. Este proceso compara los datos del individuo a identificar con los datos de cada individuo en el grupo. La autenticación es el proceso de probar que es cierta la identidad reclamada por un individuo. Este proceso compara los datos del individuo únicamente con los datos asociados a la identidad reclamada. En paralelo a la reciente popularización del uso de datos biométricos para fines de identificación y autenticación (por ejemplo, huellas dactilares o mediciones faciales) se han extendidouna serie de equívocos con relación a estatecnología. Entre los equívocos más comunes relacionados con la biometría se encuentra la afirmación de que los sistemas de identificación y autenticación biométrica son más seguros para los usuarios. En este sentido, la Agencia advierte de que el acceso no autorizado a datos biométricos en un sistema permitiría o facilitaría el acceso en el resto de los sistemas que utilicen dichos datos biométricos. Esto tendría el mismo efecto que usar la misma contraseña en muchos sistemas distintos y, a diferencia de los sistemas basados en contraseñas, una vez que la información biométrica ha sido comprometida, esta no se puede cancelar. También alerta de que la información biométrica se almacena cada vez en más entidades y dispositivos, lo que aumenta exponencialmente la probabilidad de una brecha de seguridad de información biométrica. Otro ejemplo de los catorce puntos que componen el listado es el referido a que la identificación y autenticación biométrica es un sistema fuerte. Por definición, se considera que utilizar únicamente biometría constituye un proceso débil de identificación y autenticación. Aunque en muchas ocasiones la autenticación biométrica requiere un proceso previo de identificación, la Agencia alerta de que si tras el proceso de identificación la autenticación es solo biométrica, seguiría siendo un sistema débil.